Weg met de risico’s van het datacenter – waarom dataprivacy een kostbaar probleem is geworden

Ooit was data­pri­vacy een zaak van kleine groepen mensen binnen orga­ni­sa­ties (zoals bedrijfs­ju­risten of IT-speci­a­listen); nu is het een onderwerp dat C‑levelmanagers regel­matig in hun inbox zien verschijnen. Orga­ni­sa­ties zijn in toene­mende mate wettelijk verplicht om een Data Protec­tion Officer (DPO) aan te stellen en doen alles wat mogelijk is om data­lekken te voorkomen. Hoe zijn we tot dit punt gekomen?

Hoewel het gesprek over data­pri­vacy rond 2018 echt op gang kwam, werd het concept van een ‘recht op privacy’ al in 1948 gefor­ma­li­seerd als een inter­na­ti­o­naal mensen­recht. Al snel volgden nationale wetten op het gebied van data­be­scher­ming, waarbij Zweden in 1973 als eerste een derge­lijke wet invoerde. De toene­mende bezorgd­heid van het publiek over de verwer­king en opslag van persoon­lijke infor­matie in databases heeft deze eerste tastbare poging om de privacy van gegevens te reguleren, verder gestimuleerd.

Het huidige gesprek rond data­pri­vacy mag dan wel een lange geschie­denis hebben, maar 2018 was een belang­rijk keerpunt. De General Data Protec­tion Regu­la­tion of GDPR was een van de grootste veran­de­ringen in het infor­ma­tie­be­leid sinds vele tien­tallen jaren. De veror­de­ning is uiterst specifiek en afdwing­baar, en de toezicht­hou­ders in Europa zijn niet bang geweest om actie te onder­nemen. Net na de invoering van de GDPR-wetgeving werden er in België nauwe­lijks data­lekken gerap­por­teerd. Dit kan te maken hebben met het gegeven dat ze ofwel niet weten dat hun data gestolen worden of ze het niet melden. Volgens een rapport van DLA Piper meldde Nederland de meeste data­lekken (40.647) aan de toezicht­hou­ders. België daar­en­tegen leek over een stuk minder data­lekken te beschikken (1.332). Desal­niet­temin riskeren orga­ni­sa­ties miljoe­nen­boetes wanneer zij hun lekken niet aangeven. Boetes, zoals bijvoor­beeld  opgelegd aan Proximus voor €50.000, zijn een herin­ne­ring voor alle orga­ni­sa­ties dat als zij verkeerd omgaan met de gegevens van burgers er zware, record­straffen gelden. In het voorbeeld gaat het om een belan­gen­con­flict van de DPO van Proximus.

Daar komt het datacenter om de hoek kijken

As het gaat om de manier waarop gegevens worden opge­slagen en beheerd, is het data­center het eerste wat op de agenda staat. Bovendien worden veel van de tech­no­lo­gieën waarin orga­ni­sa­ties willen inves­teren om hun business intel­li­gence te stimu­leren, daar ook opge­slagen en beheerd. Wereld­wijd zijn orga­ni­sa­ties van plan om gemiddeld maar liefst 41 miljoen dollar uit te geven aan Cloud Data Mana­ge­ment. Dat blijkt uit het laatste Cloud Data Mana­ge­ment-rapport van Veeam, wat benadrukt dat het data­center hard op weg is het belang­rijkste onderdeel te worden van de digitale business.

Vanuit veilig­heids­per­spec­tief kunnen aanvallen van overal ter wereld komen, maar de data moet ergens worden bewaard. In die zin kan de infra­struc­tuur een aantrek­ke­lijk doelwit zijn. De toege­nomen druk van bijvoor­beeld de GDPR heeft ertoe geleid dat het hogere mana­ge­ment zich nu veel meer dan ooit tevoren bewust is van de manier waarop zij de fysieke infra­struc­tuur gebruikt om de bedrijfs­voe­ring te ondersteunen.

In nauwe samen­wer­king met hun cloud-stor­age­pro­vi­ders en hosting­part­ners voeren orga­ni­sa­ties die het belang van deze kwestie goed inzien, regel­matig risi­co­ana­lyses en audits uit en eisen ze meer details in contracten over zaken als dataretentie.

Een roep om expertise

De GDPR-wetgeving als framework gaat evenzeer over mensen als over tech­ni­sche normen. Er wordt gesproken over de funda­men­tele rechten van de burgers en over de manier waarop speci­fieke personen binnen orga­ni­sa­ties deze rechten kunnen handhaven. Dit is met name duidelijk in artikel 37 van de GDPR, waarin staat dat elk bedrijf dat op grote schaal persoons­ge­ge­vens contro­leert en verwerkt, een DPO moet aanstellen.

DPO’s zijn zo een belang­rijke groep mede­wer­kers geworden, want hoewel de eis om er een te hebben niet voor alle orga­ni­sa­ties geldt, wordt het aanstellen ervan vaak als best practice gead­vi­seerd om aan te tonen dat een bedrijf passende maat­re­gelen heeft genomen. In 2018, toen de GDPR van kracht werd, moesten maar liefst 28.000 vacatures voor DPO’s in heel Europa en de VS worden vervuld, en dit blijft een grote rol spelen. Advo­ca­ten­kan­toren en consul­tants zijn bijvoor­beeld zelfs begonnen met het aanbieden van virtuele DPO-diensten om het tekort aan te vullen. Deze kloof dichten zal tijd kosten, maar het is echt waardevol om iedereen binnen orga­ni­sa­ties aan te moedigen de basis­prin­cipes van data­pri­vacy te waarderen en te begrijpen. Met de reputatie en de finan­ciële belangen die nu op het spel staan, is de privacy van gegevens zowel een zakelijke als een tech­ni­sche aange­le­gen­heid. Zoals elk zakelijk probleem, vereist het een robuuste strategie om het aan te pakken, en de juiste IT-aanpak kan veel effect hebben om de slimme oplos­singen op het gebied van data­pri­vacy mogelijk te maken die zowel de consu­menten als de toezicht­hou­ders eisen.

IT als een mensenindustrie

Uit onderzoek van Veeam is gebleken dat maar liefst drie kwart van de IT-beslis­sers wereld­wijd Cloud Data Mana­ge­ment als middel wil inzetten om intel­li­gen­tere bedrijfs­pro­cessen te onder­steunen. Daarnaast brengt Cloud Data Mana­ge­ment back-up, repli­catie en disaster recovery samen vanuit de gehele IT-omgeving van een orga­ni­satie, om ervoor te zorgen dat data altijd beschik­baar, herstel­baar en beschermd is.

Maar zoals we hebben gezien met DPO’s, is IT net zo goed een mensen­in­du­strie. Bedrijven zijn actief in een wereld waarin ze hun data meer dan ooit tevoren moeten beschermen en senior managers zijn op zoek naar betrouw­bare partners om hen te helpen hun data­center te ontdoen van risico’s. Dit kan bestaan uit het goed inrichten van data­ma­na­ge­ment­sys­temen, het geven van tech­ni­sche trai­ningen aan systeem­be­heer­ders of het stimu­leren van eind­ge­brui­kers om de rol die zij kunnen vervullen in het uitvoeren van goed data­ma­na­ge­ment op waarde te schatten.

Aan het begin van dit nieuwe decennium zitten veel orga­ni­sa­ties nog midden in een trans­for­matie in de manier waarop ze hun Cloud Data Mana­ge­ment-strategie benaderen. Het is een geschikt moment om na te denken over hoe we gegevens gebruiken en bekijken. Naarmate bedrijven zich aanpassen aan de eisen van de GDPR, zullen de gevolgen van de wetgeving ingrij­pend blijven. Managers doen er goed aan om te inves­teren in partners die de mensen niet alleen intern bege­leiden bij het naleven van de regels, maar ook bijdragen aan het creëren van een echte data­trans­pa­rante cultuur.